{"id":31423,"date":"2022-09-06T13:42:51","date_gmt":"2022-09-06T17:42:51","guid":{"rendered":"https:\/\/www.anoregmt.org.br\/novo\/?p=31423"},"modified":"2022-09-06T13:42:51","modified_gmt":"2022-09-06T17:42:51","slug":"artigo-novo-marco-de-protecao-de-dados-nos-cartorios-saiba-o-que-esta-valendo-com-o-provimento-134-22-por-daniel-ribeiro-dos-santos","status":"publish","type":"post","link":"https:\/\/www.anoregmt.org.br\/novo\/artigo-novo-marco-de-protecao-de-dados-nos-cartorios-saiba-o-que-esta-valendo-com-o-provimento-134-22-por-daniel-ribeiro-dos-santos\/","title":{"rendered":"Artigo: Novo marco de prote\u00e7\u00e3o de dados nos cart\u00f3rios \u2013 saiba o que est\u00e1 valendo com o Provimento 134\/22 \u2013 Por Daniel Ribeiro dos Santos"},"content":{"rendered":"

\u00a0 \u00a0 \u00a0Espera-se que a Comiss\u00e3o de Prote\u00e7\u00e3o de Dados atue com dilig\u00eancia para expedi\u00e7\u00e3o de diretrizes complementares e fornecimento dos insumos pertinentes para a adequa\u00e7\u00e3o dos cart\u00f3rios.<\/em><\/p>\n

\u00a0 \u00a0 \u00a0Por se tratar de uma norma geral com repercuss\u00e3o setorial, a lei 13.709\/18, conhecida como Lei Geral de Prote\u00e7\u00e3o de Dados Pessoais (LGPD), ainda carecia de uma determina\u00e7\u00e3o espec\u00edfica para ser aplicada, em n\u00edvel nacional, nas serventias extrajudiciais. Alguns meses desde a consulta p\u00fablica realizada pela Corregedoria Nacional de Justi\u00e7a1, o \u00f3rg\u00e3o \u2013 ligado ao Conselho Nacional de Justi\u00e7a (CNJ) \u2013 finalmente publicou o Provimento 134\/22, que estabelece os par\u00e2metros a serem seguidos pelos cart\u00f3rios de todo o pa\u00eds.<\/p>\n

\u00a0 \u00a0 \u00a0O documento materializa diversos comandos contidos na LGPD, corrige falhas pontuais da vers\u00e3o publicada preliminarmente2 e pacifica quest\u00f5es controversas presentes em provimentos estaduais. Por outro lado, ainda deixa algumas d\u00favidas sobre procedimentos elencados em sua reda\u00e7\u00e3o.<\/p>\n

\u00a0 \u00a0 \u00a0Este artigo busca elucidar os principais pontos de aten\u00e7\u00e3o do novo marco normativo para os cart\u00f3rios brasileiros, bem como trazer reflex\u00f5es acerca da sua compatibilidade com o cen\u00e1rio de prote\u00e7\u00e3o de dados no pa\u00eds.<\/p>\n

Governan\u00e7a de dados pessoais e cultura organizacional protetiva<\/strong><\/p>\n

\u00a0 \u00a0 \u00a0O Provimento 134\/22 desenha um mapa a ser seguido para a governan\u00e7a de dados pessoais nas serventias extrajudiciais, estabelecendo procedimentos t\u00e9cnicos e medidas a serem adotas para concretizar o esp\u00edrito protetivo da LGPD. Ao longo do texto, \u00e9 poss\u00edvel perceber preocupa\u00e7\u00f5es vinculadas \u00e0 seguran\u00e7a dos dados pessoais, \u00e0 transpar\u00eancia das atividades de tratamento, ao exerc\u00edcio de direitos dos titulares e \u00e0 prote\u00e7\u00e3o dos pr\u00f3prios cart\u00f3rios.<\/p>\n

\u00a0 \u00a0 \u00a0O art. 6\u00ba, por exemplo, elenca uma s\u00e9rie de provid\u00eancias essenciais, tais como a implementa\u00e7\u00e3o de medidas t\u00e9cnicas e administrativas de seguran\u00e7a para proteger os dados pessoais de acessos n\u00e3o autorizados ou de tratamentos inadequados ou il\u00edcitos, a formula\u00e7\u00e3o de uma Pol\u00edtica Interna de Privacidade e Prote\u00e7\u00e3o de Dados, bem como a revis\u00e3o de contratos com prestadores de servi\u00e7os e o treinamento de prepostos do agente delegado.<\/p>\n

\u00a0 \u00a0 \u00a0O conjunto de a\u00e7\u00f5es preconizadas pelo CNJ forma um programa de governan\u00e7a de dados pessoais<\/strong>. Para segui-lo da forma devida, as serventias precisar\u00e3o reformular os processos internos, mudar condutas, aperfei\u00e7oar tecnologias e controles, realizar um aprimoramento cont\u00ednuo da equipe e monitorar\u00a0permanentemente<\/strong>\u00a0a efic\u00e1cia das provid\u00eancias implementadas.<\/p>\n

\u00a0 \u00a0 \u00a0Com isso, cria-se um paradigma para os cart\u00f3rios, focado na consolida\u00e7\u00e3o de uma cultura de prote\u00e7\u00e3o dos dados pessoais para todos os servi\u00e7os prestados. At\u00e9 mesmo porque, a partir da edi\u00e7\u00e3o do Provimento, o assunto passa a compor definitivamente o tem\u00e1rio a ser fiscalizado pelas corregedorias no \u00e2mbito notarial e registral.<\/p>\n

\u00a0 \u00a0 \u00a0Dada a import\u00e2ncia do tema, foi criada a Comiss\u00e3o de Prote\u00e7\u00e3o de Dados da Corregedoria Nacional (CPD\/CN\/CNJ). O \u00f3rg\u00e3o tem car\u00e1ter consultivo, sendo respons\u00e1vel por propor diretrizes para aplica\u00e7\u00e3o, interpreta\u00e7\u00e3o e adequa\u00e7\u00e3o das serventias \u00e0 LGPD, seja de forma espont\u00e2nea ou mediante provoca\u00e7\u00e3o pelas associa\u00e7\u00f5es (art. 3\u00ba).<\/p>\n

Quem liderar\u00e1 o processo de adequa\u00e7\u00e3o no cart\u00f3rio?<\/strong><\/p>\n

\u00a0 \u00a0 \u00a0Conforme disp\u00f5e o art. 4\u00ba do Provimento e na intelig\u00eancia do art. 5\u00ba, VI, da LGPD3, os delegat\u00e1rios, interventores ou interinos, s\u00e3o controladores no exerc\u00edcio da atividade t\u00edpica registral ou notarial, aos quais competem as decis\u00f5es referentes ao tratamento de dados pessoais. Apesar disso, n\u00e3o est\u00e3o sozinhos na jornada de adequa\u00e7\u00e3o do cart\u00f3rio, contando com a ajuda do encarregado pelo tratamento de dados. Essa figura foi institu\u00edda pela LGPD4, sendo respons\u00e1vel por atuar n\u00e3o s\u00f3 como canal de comunica\u00e7\u00e3o entre o agente delegado, titulares dos dados e autoridades, como tamb\u00e9m na lideran\u00e7a da implementa\u00e7\u00e3o de medidas rumo \u00e0 conformidade \u00e0 lei 13.709\/18.<\/p>\n

\u00a0 \u00a0 \u00a0O Provimento determina a nomea\u00e7\u00e3o de um encarregado (art. 10), uma vez que sua indica\u00e7\u00e3o pelo controlador, em regra, \u00e9 obrigat\u00f3ria5. N\u00e3o obstante a exist\u00eancia de serventias extrajudiciais dos mais variados portes e com diferentes volumes de dados pessoais tratados, a Autoridade Nacional de Prote\u00e7\u00e3o de Dados (ANPD) ainda n\u00e3o estabeleceu um regramento para dispensa de indica\u00e7\u00e3o do encarregado pelos delegat\u00e1rios6.<\/p>\n

\u00a0 \u00a0 \u00a0As serventias poder\u00e3o designar um encarregado de maneira conjunta7, bem como terceirizar o exerc\u00edcio da fun\u00e7\u00e3o mediante contrata\u00e7\u00e3o de um prestador de servi\u00e7os (\u201cEncarregado Externo\u201d ou \u201cDPO as a service<\/em>\u201c), seja pessoa f\u00edsica ou jur\u00eddica8. Adicionalmente, o Provimento prev\u00ea que os cart\u00f3rios poder\u00e3o ter a remunera\u00e7\u00e3o do encarregado subsidiada ou custeada pelas entidades representativas de classe.<\/p>\n

\u00a0 \u00a0 \u00a0Importante pontuar que n\u00e3o h\u00e1 \u00f3bice para contrata\u00e7\u00e3o de um mesmo encarregado por cart\u00f3rios de qualquer classe9, conforme assegura o art. 10, \u00a7 3\u00ba, desde que demonstr\u00e1vel a inexist\u00eancia de conflito na cumula\u00e7\u00e3o de fun\u00e7\u00f5es e na manuten\u00e7\u00e3o da qualidade dos servi\u00e7os prestados.<\/p>\n

Lacuna deixada na estrutura de governan\u00e7a de dados<\/strong><\/p>\n

\u00a0 \u00a0 \u00a0O art. 10, \u00a7 2\u00ba, do texto disponibilizado pela Corregedoria para consulta p\u00fablica, indicava que as serventias de \u201cClasse III\u201d deveriam contar com uma equipe de apoio multidisciplinar para governan\u00e7a dos dados, composta, ao menos, por integrantes das \u00e1reas de tecnologia da informa\u00e7\u00e3o, seguran\u00e7a da informa\u00e7\u00e3o e jur\u00eddica. Esse time seria equivalente ao Comit\u00ea Gestor de Prote\u00e7\u00e3o de Dados Pessoais, estrutura comumente criada pelos agentes de tratamento durante o processo de adequa\u00e7\u00e3o \u00e0 LGPD e que representaria uma boa pr\u00e1tica de governan\u00e7a em compasso com o art. 50 da Lei de Prote\u00e7\u00e3o de Dados Pessoais10.<\/p>\n

\u00a0 \u00a0 \u00a0Os processos de mapeamento de dados, de avalia\u00e7\u00e3o das vulnerabilidades do cart\u00f3rio e de elabora\u00e7\u00e3o de relat\u00f3rios de impacto seriam facilitados com a implementa\u00e7\u00e3o de uma equipe multidisciplinar, atuando ao lado do encarregado na proposi\u00e7\u00e3o de boas pr\u00e1ticas e na identifica\u00e7\u00e3o de medidas de conformidade dentro da serventia, sobretudo nas de Classe III. Infelizmente, a men\u00e7\u00e3o a esse time foi retirada da vers\u00e3o final do Provimento. Restou a cita\u00e7\u00e3o a uma eventual equipe de apoio ao encarregado no art. 16, IV11, jogando para segundo plano, inoportunamente, a import\u00e2ncia desse grupo na jornada de adequa\u00e7\u00e3o.<\/p>\n

\u00a0 \u00a0 \u00a0A aus\u00eancia de uma estrutura como a mencionada poder\u00e1 demandar mais tempo e gerar dificuldades t\u00e9cnicas na implementa\u00e7\u00e3o de a\u00e7\u00f5es de conformidade nos cart\u00f3rios. A exist\u00eancia de determina\u00e7\u00e3o para cria\u00e7\u00e3o de um comit\u00ea de prote\u00e7\u00e3o de dados nos cart\u00f3rios maiores, inclusive, serviria de inspira\u00e7\u00e3o para ado\u00e7\u00e3o da mesma estrutura por serventias menores, guardadas as devidas propor\u00e7\u00f5es.<\/p>\n

Mapeamento das atividades de tratamento e atualiza\u00e7\u00e3o anual do invent\u00e1rio de dados<\/strong><\/p>\n

\u00a0 \u00a0 \u00a0Um dos procedimentos t\u00e9cnicos previstos no Provimento \u00e9 o mapeamento das atividades de tratamento de dados pessoais, previsto no art. 7\u00ba. Ele permitir\u00e1 a identifica\u00e7\u00e3o dos dados pessoais e do seu ciclo de vida dentro da serventia, incluindo todas as opera\u00e7\u00f5es a que est\u00e3o sujeitos, tais como coleta, armazenamento, compartilhamento e descarte.<\/p>\n

\u00a0 \u00a0 \u00a0Intitulado \u201cinvent\u00e1rio de dados pessoais\u201d, o produto desse processo conter\u00e1, conforme art. 7\u00ba, \u00a7 1\u00ba, I:<\/p>\n

\u00a0– Descri\u00e7\u00e3o e categoria dos dados e dos titulares envolvidos;<\/p>\n

– Formas de obten\u00e7\u00e3o e de coleta das informa\u00e7\u00f5es;<\/p>\n

– Finalidades e bases legais autorizativas do tratamento;<\/p>\n

– Tempo de reten\u00e7\u00e3o dos dados;<\/p>\n

– Situa\u00e7\u00f5es de compartilhamento com terceiros e eventual transfer\u00eancia internacional;<\/p>\n

– Medidas de seguran\u00e7a organizacionais e t\u00e9cnicas adotadas no bojo do tratamento.<\/p>\n

\u00a0 \u00a0 \u00a0A reda\u00e7\u00e3o do documento consolida a nomenclatura do procedimento mencionado no art. 7\u00ba como \u201cmapeamento de dados pessoais\u201d. No esfor\u00e7o de expedir diretrizes sobre a adequa\u00e7\u00e3o dos cart\u00f3rios \u00e0 LGPD, v\u00e1rias corregedorias estaduais publicaram provimentos sobre o tema. Algumas delas vinham se referindo ao mapeamento como \u201csistema de controle de fluxo\u201d, embora n\u00e3o exista um termo similar na LGPD ou nos documentos da ANPD. Na pr\u00e1tica, ambos os nomes se referem ao ato de identificar, registrar e sistematizar<\/strong>\u00a0as atividades que envolvem informa\u00e7\u00f5es pessoais, conforme preconiza a LGPD no art. 3712.<\/p>\n

\u00a0 \u00a0 \u00a0O mapeamento de dados pessoais dever\u00e1, de acordo com o art. 7\u00ba, \u00a7 1\u00ba, V, ser atualizado anualmente<\/strong>\u00a0ou sempre que for necess\u00e1rio, exigindo um trabalho cont\u00ednuo de monitoramento da governan\u00e7a de dados pessoais da serventia. Altera\u00e7\u00f5es em processos internos e na estrutura organizacional, bem como mudan\u00e7as de ordem legal ou regulat\u00f3ria, por exemplo, poder\u00e3o dar causa ao incremento do invent\u00e1rio de dados.<\/p>\n

Avalia\u00e7\u00e3o de riscos e impacto do tratamento de dados<\/strong><\/p>\n

\u00a0 \u00a0 \u00a0A partir do mapeamento poder\u00e3o ser trazidos \u00e0 baila problemas nos controles de acesso \u00e0s informa\u00e7\u00f5es, nas medidas de seguran\u00e7a adotadas, no volume de dados tratados13 ou, at\u00e9 mesmo, na legalidade no uso de informa\u00e7\u00f5es pessoais14. Nesse sentido, os insumos coletados dever\u00e3o ser aproveitados para an\u00e1lise de lacunas relacionadas \u00e0 prote\u00e7\u00e3o dos dados, cabendo \u00e0 serventia conduzir a avalia\u00e7\u00e3o das vulnerabilidades (gap assessment<\/em>) encontradas.<\/p>\n

\u00a0 \u00a0 \u00a0O gap assessment<\/em>\u00a0\u2013 preconizado no art. 7\u00ba, III \u2013 perseguir\u00e1 a realiza\u00e7\u00e3o de ajustes de conformidade, a fim de tratar os riscos associados \u00e0s vulnerabilidades encontradas no mapeamento, seja para conviver com eles, mitig\u00e1-los ou elimin\u00e1-los.<\/p>\n

\u00a0 \u00a0 \u00a0O texto publicado tamb\u00e9m trata sobre o Relat\u00f3rio de Impacto \u00e0 Prote\u00e7\u00e3o de Dados Pessoais (RIPD)15. Ele deve ser realizado nas atividades em que o tratamento possa gerar riscos a direitos e liberdades fundamentais do titular, de acordo com as orienta\u00e7\u00f5es da ANPD. Seu conte\u00fado deve conter a descri\u00e7\u00e3o de tais processos de tratamento, bem como as medidas, salvaguardas e mecanismos de mitiga\u00e7\u00e3o dos riscos. Assim, sua elabora\u00e7\u00e3o depende da boa condu\u00e7\u00e3o do mapeamento de dados, do gap assessment<\/em>\u00a0e da ado\u00e7\u00e3o das medidas de conformidade.<\/p>\n

\u00a0 \u00a0 \u00a0O cap\u00edtulo VI do documento do CNJ, diferente do que foi visto em muitos provimentos estaduais, detalha algumas instru\u00e7\u00f5es para elabora\u00e7\u00e3o do RIPD. Ele indica, por exemplo, que o Relat\u00f3rio deve ser formulado previamente \u00e0 pactua\u00e7\u00e3o de contrato ou conv\u00eanio e \u00e0 ado\u00e7\u00e3o de novos procedimentos ou tecnologias pelo cart\u00f3rio.<\/p>\n

\u00a0 \u00a0 \u00a0O texto deixa d\u00favidas, entretanto, no tocante \u00e0 possibilidade franqueada aos afetados pelo tratamento, a t\u00edtulo de transpar\u00eancia, de se manifestarem sobre o conte\u00fado do RIPD (art. 11, III). N\u00e3o est\u00e1 evidente o tipo de manifesta\u00e7\u00e3o, nem a extens\u00e3o, objetivamente, da sua influ\u00eancia no Relat\u00f3rio.<\/p>\n

\u00a0 \u00a0 \u00a0Os par\u00e1grafos 2\u00ba16 e 3\u00ba17 do art. 11 trazem a possibilidade de a CPD\/CN\/CNJ padronizar modelos de RIPD para as serventias. Espera-se que a disponibiliza\u00e7\u00e3o dos templates<\/em>\u00a0venha acompanhada de uma pormenoriza\u00e7\u00e3o das diretrizes em rela\u00e7\u00e3o \u00e0 confec\u00e7\u00e3o dos documentos.<\/p>\n

Aten\u00e7\u00e3o ao uso do conceito de \u201coperador\u201d<\/strong><\/p>\n

\u00a0 \u00a0 \u00a0Um erro comum em alguns provimentos estaduais foi o enquadramento dos prepostos do delegat\u00e1rio como operador. Os funcion\u00e1rios do agente delegado (controlador), contudo, n\u00e3o s\u00e3o operadores \u2013 eles apenas atuam sob seu poder diretivo.<\/p>\n

\u00a0 \u00a0 \u00a0O art. 5\u00ba do Provimento, acertadamente, indica que o operador \u00e9 a pessoa natural ou jur\u00eddica, de direito p\u00fablico ou privado, externa ao quadro funcional da serventia, contratada para servi\u00e7o que envolva o tratamento de dados pessoais em nome do controlador.<\/p>\n

\u00a0 \u00a0 \u00a0Esse entendimento coaduna com o manifestado pela ANPD no \u201cGuia Orientativo para Defini\u00e7\u00f5es dos Agentes de Tratamento de Dados Pessoais e do Encarregado\u201d18. Segundo o documento, o operador ser\u00e1 sempre uma pessoa distinta do controlador, isto \u00e9, que n\u00e3o atua como profissional subordinado a este. Por esta raz\u00e3o, deve-se evitar a confus\u00e3o dessas figuras \u2013 preposto do controlador e operador. Os modelos de contrata\u00e7\u00e3o s\u00e3o diferentes, assim como o regime de responsabiliza\u00e7\u00e3o previsto na LGPD.<\/p>\n

\u00a0 \u00a0 \u00a0O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obriga\u00e7\u00f5es da legisla\u00e7\u00e3o ou quando n\u00e3o tiver seguido as instru\u00e7\u00f5es l\u00edcitas do controlador \u2013 hip\u00f3tese em que o operador se equipara ao controlador19. J\u00e1 os prepostos do controlador, uma vez que n\u00e3o s\u00e3o tecnicamente agentes de tratamento, n\u00e3o respondem diretamente pelo dano. Com isso, o controlador \u00e9 quem ser\u00e1 obrigado a repar\u00e1-lo20.<\/p>\n

\u00a0 \u00a0 \u00a0Apesar do acerto na conceitua\u00e7\u00e3o realizada no art. 5\u00ba, o texto final do Provimento manteve a confus\u00e3o relacionada \u00e0 men\u00e7\u00e3o ao operador no art. 16, V21. Aparentemente se trata de erro na reda\u00e7\u00e3o, uma vez que o cap\u00edtulo VIII se dedica ao treinamento dos prepostos do agente delegado que, como j\u00e1 visto anteriormente, n\u00e3o s\u00e3o agentes de tratamento, muito menos, operadores.<\/p>\n

\u00a0 \u00a0 \u00a0Por outro lado, pode-se interpretar que h\u00e1 um comando para que os cart\u00f3rios tamb\u00e9m capacitem os prestadores externos ao quadro funcional da serventia. Tal medida n\u00e3o seria uma pr\u00e1tica desaconselhada, ainda mais ao se considerar o dever de orienta\u00e7\u00e3o do operador pelo controlador.<\/p>\n

\u00a0 \u00a0 \u00a0Caber\u00e1 \u00e0 CPD\/CN\/CNJ, se n\u00e3o houver altera\u00e7\u00e3o no texto do Provimento que esclare\u00e7a os pontos mencionados, a defini\u00e7\u00e3o da melhor interpreta\u00e7\u00e3o do conte\u00fado do art. 16, V.<\/p>\n

Unifica\u00e7\u00e3o do prazo de comunica\u00e7\u00e3o de incidentes de seguran\u00e7a<\/strong><\/p>\n

\u00a0 \u00a0 \u00a0Outro ponto controverso nos provimentos estaduais foi a comunica\u00e7\u00e3o de incidentes a autoridades. Em sua maioria, os textos determinavam que o juiz corregedor permanente e a Corregedoria-Geral da Justi\u00e7a deveriam ser informados em, no m\u00e1ximo, 24 horas. A ANPD, por sua vez, recomenda, enquanto pendente a regulamenta\u00e7\u00e3o do tema, que a comunica\u00e7\u00e3o seja feita no prazo de dois dias \u00fateis, contados da data do conhecimento do incidente22.<\/p>\n

\u00a0 \u00a0 \u00a0As diretrizes expedidas pelas corregedorias dos estados, em regra, tamb\u00e9m n\u00e3o elencavam a Autoridade Nacional como um dos destinat\u00e1rios da comunica\u00e7\u00e3o e n\u00e3o faziam a ressalva de que a lei 13.709\/18 determina apenas a informa\u00e7\u00e3o de eventos que possam acarretar riscos ou danos relevantes aos titulares.<\/p>\n

\u00a0 \u00a0 \u00a0A vers\u00e3o definitiva do Provimento resolve os problemas mencionados, uma vez que o art. 13 determina a comunica\u00e7\u00e3o de incidentes de seguran\u00e7a \u00e0 ANPD, ao juiz corregedor permanente e \u00e0 Corregedoria-Geral da Justi\u00e7a, desde que possam acarretar risco ou dano relevante aos titulares. O prazo estipulado passou a ser o de 48 horas \u00fateis, contados a partir do conhecimento do caso.<\/p>\n

\u00a0 \u00a0 \u00a0Salienta-se a import\u00e2ncia de realizar uma apura\u00e7\u00e3o pr\u00e9via para atestar a efetiva ocorr\u00eancia do incidente, sendo esta investiga\u00e7\u00e3o preliminar o procedimento que consolida, de fato, o conhecimento sobre o evento. Ademais, \u00e9 esse exame que permitir\u00e1 a reuni\u00e3o das informa\u00e7\u00f5es que devem ser comunicadas \u00e0s autoridades mencionadas no art. 13.<\/p>\n

*<\/p>\n

\u00a0 \u00a0 \u00a0\u00c9 relevante o passo dado pelo Poder Judici\u00e1rio ao editar o dispositivo analisado neste artigo, uma vez que demonstra responsabilidade e preocupa\u00e7\u00e3o com o assunto. Apesar de ainda possuir pontos de melhoria, a norma j\u00e1 traz medidas pr\u00e1ticas e alinhadas ao esp\u00edrito preventivo e protetivo da legisla\u00e7\u00e3o em vigor, representando um excelente par\u00e2metro para uniformiza\u00e7\u00e3o de condutas no sistema extrajudicial brasileiro.<\/p>\n

\u00a0 \u00a0 \u00a0As serventias ter\u00e3o o prazo de 180 dias para entrarem em conformidade \u00e0s disposi\u00e7\u00f5es contidas no Provimento, mesmo tempo dado \u00e0s corregedorias estaduais para que promovam a adequa\u00e7\u00e3o das normas locais que contrariarem as regras e diretrizes constantes no ato do CNJ.<\/p>\n

\u00a0 \u00a0 \u00a0Espera-se, agora, que a Comiss\u00e3o de Prote\u00e7\u00e3o de Dados atue com dilig\u00eancia para expedi\u00e7\u00e3o de diretrizes complementares e fornecimento dos insumos pertinentes para a adequa\u00e7\u00e3o dos cart\u00f3rios.<\/p>\n

\n

Refer\u00eancias<\/strong><\/p>\n

1 CONSELHO NACIONAL DE JUSTI\u00c7A.\u00a0Edital de Abertura de Consulta P\u00fablica \u2013 Minuta de Provimento sobre LGPD<\/strong>. Dispon\u00edvel em: Acesso em: 31 de ago. de 2022.<\/p>\n

2\u00a0CONSELHO NACIONAL DE JUSTI\u00c7A.\u00a0Minuta de Provimento sobre aplica\u00e7\u00e3o da LGPD pelas serventias extrajudiciais<\/strong>. Dispon\u00edvel em: Acesso em: 31 de ago. de 2022.<\/p>\n

3 Art. 5\u00ba, VI, LGPD: VI \u2013 controlador: pessoa natural ou jur\u00eddica, de direito p\u00fablico ou privado, a quem competem as decis\u00f5es referentes ao tratamento de dados pessoais.<\/p>\n

4 Art. 5\u00ba, VII, LGPD: encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunica\u00e7\u00e3o entre o controlador, os titulares dos dados e a Autoridade Nacional de Prote\u00e7\u00e3o de Dados (ANPD).<\/p>\n

5 Art. 41,\u00a0caput<\/em>, LGPD: o controlador dever\u00e1 indicar encarregado pelo tratamento de dados pessoais.<\/p>\n

6 A ANPD tem regulamentado situa\u00e7\u00f5es espec\u00edficas para dispensa de indica\u00e7\u00e3o de encarregado. A Resolu\u00e7\u00e3o CD\/ANPD 2, de 27 de janeiro de 2022, por exemplo, estabeleceu a n\u00e3o obrigatoriedade de nomea\u00e7\u00e3o de um encarregado por agentes de tratamento de pequeno porte (art. 11), cuja defini\u00e7\u00e3o trazida no art. 2\u00ba, I, n\u00e3o engloba os servi\u00e7os notariais e de registro. As serventias extrajudiciais recebem, conforme art. 23, \u00a7 4\u00ba, da LGPD, o mesmo tratamento dispensado \u00e0 administra\u00e7\u00e3o p\u00fablica, ou seja, s\u00e3o obrigadas a indicar encarregado, na forma do art. 23, III, da mesma Lei. A ANPD n\u00e3o expediu, at\u00e9 ent\u00e3o, qualquer regulamento que disponha o contr\u00e1rio.<\/p>\n

7 Art. 10, \u00a7 2\u00ba, Provimento 134\/22 do CNJ: A nomea\u00e7\u00e3o e contrata\u00e7\u00e3o do Encarregado de Prote\u00e7\u00e3o de Dados Pessoais pelas Serventias ser\u00e1 de livre escolha do titular da Serventias, podendo, eventualmente, ser realizada de forma conjunta, ou ser subsidiado ou custeado pelas entidades de classe.<\/p>\n

8 Art. 10, I, Provimento 134\/22 do CNJ: os respons\u00e1veis pelas Serventias Extrajudiciais poder\u00e3o terceirizar o exerc\u00edcio da fun\u00e7\u00e3o de Encarregado mediante a contrata\u00e7\u00e3o de prestador de servi\u00e7os, pessoa f\u00edsica ou pessoa jur\u00eddica, desde que apto ao exerc\u00edcio da fun\u00e7\u00e3o.<\/p>\n

9 O Provimento 74\/18 da Corregedoria Nacional de Justi\u00e7a disp\u00f5e sobre os padr\u00f5es m\u00ednimos de tecnologia da informa\u00e7\u00e3o para a seguran\u00e7a, a integridade e a disponibilidade de dados para a continuidade da atividade pelos servi\u00e7os notariais e de registro. Em seu texto, as serventias extrajudiciais s\u00e3o divididas em tr\u00eas classes, de acordo com a arrecada\u00e7\u00e3o semestral, para defini\u00e7\u00e3o de pr\u00e9-requisitos para cumprimento dos padr\u00f5es de seguran\u00e7a.<\/p>\n

10 Art. 50,\u00a0caput<\/em>, LGPD: os controladores e operadores, no \u00e2mbito de suas compet\u00eancias, pelo tratamento de dados pessoais, individualmente ou por meio de associa\u00e7\u00f5es, poder\u00e3o formular regras de boas pr\u00e1ticas e de governan\u00e7a que estabele\u00e7am as condi\u00e7\u00f5es de organiza\u00e7\u00e3o, o regime de funcionamento, os procedimentos, incluindo reclama\u00e7\u00f5es e peti\u00e7\u00f5es de titulares, as normas de seguran\u00e7a, os padr\u00f5es t\u00e9cnicos, as obriga\u00e7\u00f5es espec\u00edficas para os diversos envolvidos no tratamento, as a\u00e7\u00f5es educativas, os mecanismos internos de supervis\u00e3o e de mitiga\u00e7\u00e3o de riscos e outros aspectos relacionados ao tratamento de dados pessoais.<\/p>\n

11 Art. 16, IV, Provimento 134\/22 do CNJ: As serventias dever\u00e3o realizar treinamentos para implementa\u00e7\u00e3o da cultura de privacidade e prote\u00e7\u00e3o de dados pessoais, bem como para a capacita\u00e7\u00e3o de todos os envolvidos no tratamento dos dados pessoais sobre os novos controles, processos e procedimentos, observando o seguinte: IV \u2013 organizar, por meio do Encarregado e eventual equipe de apoio, programa de conscientiza\u00e7\u00e3o a respeito dos procedimentos de tratamento de dados, que dever\u00e1 atingir todos os trabalhadores.<\/p>\n

12 Art. 37,\u00a0caput<\/em>, LGPD: o controlador e o operador devem manter registro das opera\u00e7\u00f5es de tratamento de dados pessoais que realizarem, especialmente quando baseado no leg\u00edtimo interesse.<\/p>\n

13 O tratamento de dados pessoais, conforme reza o art. 6\u00ba, III, da LGPD, deve ser limitado ao m\u00ednimo necess\u00e1rio para a realiza\u00e7\u00e3o de suas finalidades, com abrang\u00eancia dos dados pertinentes, proporcionais e n\u00e3o excessivos em rela\u00e7\u00e3o \u00e0s finalidades do tratamento de dados.<\/p>\n

14 O art. 7\u00ba da lei 13.709\/18 elenca as hip\u00f3teses autorizadoras de tratamento de dados pessoais. Dessa forma, as opera\u00e7\u00f5es identificadas no mapeamento dever\u00e3o passar por controle de legalidade \u00e0 luz das bases contidas na lei.<\/p>\n

15 Art. 5\u00ba, XVII, LGPD: relat\u00f3rio de impacto \u00e0 prote\u00e7\u00e3o de dados pessoais: documenta\u00e7\u00e3o do controlador que cont\u00e9m a descri\u00e7\u00e3o dos processos de tratamento de dados pessoais que podem gerar riscos \u00e0s liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitiga\u00e7\u00e3o de risco;<\/p>\n

16 Art. 11, \u00a7 2\u00ba, Provimento 134\/22 do CNJ: Serventias Classe I e II poder\u00e3o adotar modelo simplificado de Relat\u00f3rio de Impacto conforme orienta\u00e7\u00f5es da CPD\/CN\/CNJ para a simplifica\u00e7\u00e3o do documento. Na aus\u00eancia de metodologia simplificada, adotar-se-\u00e1 o Relat\u00f3rio completo.<\/p>\n

17 Art. 11, \u00a7 3\u00ba, Provimento 134\/22 do CNJ: Serventias Classe III adotar\u00e3o o modelo completo de Relat\u00f3rio de Impacto, conforme instru\u00e7\u00f5es metodol\u00f3gicas da CPD\/CN\/CNJ.<\/p>\n

18 Autoridade Nacional de Prote\u00e7\u00e3o de Dados (ANPD).\u00a0Guia Orientativo para Defini\u00e7\u00f5es dos Agentes de Tratamento de Dados Pessoais e do Encarregado<\/strong>. Dispon\u00edvel em: Acesso em: 06 de ago. de 2022.<\/p>\n

19 Art. 42, I, LGPD: o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obriga\u00e7\u00f5es da legisla\u00e7\u00e3o de prote\u00e7\u00e3o de dados ou quando n\u00e3o tiver seguido as instru\u00e7\u00f5es l\u00edcitas do controlador, hip\u00f3tese em que o operador se equipara ao controlador, salvo nos casos de exclus\u00e3o previstos no art. 43 desta lei;<\/p>\n

20 Art. 42,\u00a0caput<\/em>, LGPD: O controlador ou o operador que, em raz\u00e3o do exerc\u00edcio de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em viola\u00e7\u00e3o \u00e0 legisla\u00e7\u00e3o de prote\u00e7\u00e3o de dados pessoais, \u00e9 obrigado a repar\u00e1-lo.<\/p>\n

21 Art. 16, V, Provimento 134\/22 do CNJ: As serventias dever\u00e3o realizar treinamentos para implementa\u00e7\u00e3o da cultura de privacidade e prote\u00e7\u00e3o de dados pessoais, bem como para a capacita\u00e7\u00e3o de todos os envolvidos no tratamento dos dados pessoais sobre os novos controles, processos e procedimentos, observando o seguinte: V \u2013 manter os comprovantes da participa\u00e7\u00e3o em cursos, confer\u00eancias, semin\u00e1rios ou qualquer modo de treinamento proporcionado pelo controlador aos operadores e Encarregado, com indica\u00e7\u00e3o do conte\u00fado das orienta\u00e7\u00f5es transmitidas.<\/p>\n

22 Autoridade Nacional de Prote\u00e7\u00e3o de Dados (ANPD).\u00a0Incidente de Seguran\u00e7a<\/strong>. Dispon\u00edvel em: Acesso em: 07 de ago. de 2022.<\/p>\n

\n

Daniel Ribeiro dos Santos<\/em><\/strong>\u00a0\u00e9 advogado, s\u00f3cio e coordenador do n\u00facleo de Prote\u00e7\u00e3o de Dados e Compliance do Chezzi Advogados, professor, especialista em Direito Digital e Compliance pelo Ibmec \u2013 S\u00e3o Paulo.<\/em><\/p>\n

Fonte:<\/strong>\u00a0Migalhas<\/p>\n